CN104184836A - 基于远程服务业务的多业务单点登录系统及方法 - Google Patents

Abstract

本发明提供了一种基于远程服务业务的多业务单点登录系统及方法，该多业务单点登录系统采用了远程租用单点登录服务业务的集成化构架方案，使得用户数据中心服务器以及远程提供单点登录服务业务的单点登陆服务器可以由第三方服务供应商来提供，能够帮助企业大大降低一次性费用支付成本，避免给企业带来突发的经济压力；同时其多业务单点登录方法使得多个应用业务服务器能够轮流地分时占用登录服务器的处理资源，避免了因数量较多的应用业务服务器长时间的占用登录服务器的处理资源而导致单点登录服务器资源消耗过高的问题，也大大降低了登录服务器因处理资源耗尽而运行崩溃的风险。可见，本发明的多业务单点登录系统及方法具有很好的推广应用价值。

Description

基于远程服务业务的多业务单点登录系统及方法

技术领域

本发明涉及互联网络应用技术和信息安全认证技术领域，具体涉及一种基于远程服务业务的多业务单点登录系统及方法。

背景技术

较大的企业内部，一般都有很多的应用业务系统为其提供相应的管理和IT服务。例如，财务系统为财务人员提供财务的管理、计算和报表服务；人事系统为人事部门提供全公司人员的维护服务；等等。这些应用业务系统的目的都是让计算机来进行复杂繁琐的计算工作，来替代人力的手工劳动，提高工作效率和质量。但是，这些不同的应用业务系统往往是在不同的时期建设起来的，运行在不同的应用业务服务器平台上，由不同的应用业务服务器公司内部提供响应的应用业务服务，并且这些应用业务服务器也许是由不同厂商开发，使用了各种不同的技术和标准。

随着企业的发展，应用业务服务器的数量在不断的增加，其运载的应用服务业务却不能轻易的替换，因为业务和业务之间的相关性也越来越大，例如公司的计费系统和财务系统，财务系统和人事系统之间都不可避免的有着密切的关系，替换其中任意之一都将会带来巨大的开销。

为了降低管理的消耗，最大限度的重用已有投资的系统，很多企业都在进行着企业应用服务业务的集成。企业应用集成可以在不同层面上进行，例如在数据存储层面上的“数据大集中”，在传输层面上的“通用数据交换平台”，在应用层面上的“业务流程整合”，和用户界面上的“通用企业门户”等等。而事实上，还用一个层面上的集成变得越来越重要，那就是“身份认证”的整合，即如何实现单点登录。

单点登录（Single Sign On，简称为 SSO），是通过一套集成化构架方案，让企业内部的用户只需要登录一次就可以访问多个已建立信任关系的应用业务服务器所提供的应用服务业务。

但目前企业所采用的单点登录构架方案，大多是通过自行构建一台服务器，并购买单点登录处理软件运载在该服务器上，形成一套单点登录服务器，然后再将企业中各个应用服务业务对应的应用业务服务器都与单点登录服务器建立信任关系的稳定数据连接，完成单点登录功能。由此方案构建单点登录业务系统，企业需要支付高额的服务器硬件构建费用和单点登录处理软件购买费用，一次性费用支付成本较高，容易给企业带来突发的经济压力；不仅如此，由于与单点登录服务器建立信任关系的各个应用业务服务器，都需要与单点登录服务器建立稳定数据连接，这就使得数量较多的应用业务服务器长时间的占用单点登录服务器的处理资源，容易导致单点登录服务器资源消耗过高，带来单点登录服务器运行效率低等问题，并且还可能存在因处理资源耗尽而导致单点登录服务器运行崩溃的风险。

发明内容

针对现有技术中存在的上述不足，本发明的目的在于提供一种基于远程服务业务的多业务单点登录系统，其通过远程租用单点登录服务业务的集成化构架方案，实现多业务单点登录处理功能，帮助企业降低一次性费用支付成本，并使得各应用业务服务器对登录服务器处理资源的消耗更少，以解决现有的单点登录业务系统构建方案容易给企业带来突发的经济压力、系统运行效率低、存在运行崩溃的风险的问题。

为实现上述目的，本发明采用可如下的系统技术方案：

基于远程服务业务的多业务单点登录系统，包括用户数据中心服务器，与所述用户数据中心服务器通信连接的登录服务器，能够分别通过安全数据通道与所述登录服务器建立远程数据通信的多个应用业务服务器，以及能够通过通信网络访问应用业务服务器和登录服务器的用户客户端；

所述用户数据中心服务器用于存储各个用户的身份认证信息以及用户在各个应用业务服务器对应的用户数据；所述身份认证信息至少包括用户登录ID及对应的登录密码；

所述登录服务器用于供各个应用业务服务器租用，通过安全数据通道建立的远程数据通信分别向各应用业务服务器提供远程的单点登录服务业务；还用于调取用户数据中心服务器存储的用户的身份认证信息，为通过通信网络来访的用户客户端提供用户身份认证服务业务，并向用户客户端返回用以表明登录认证成功的安全票据；

所述应用业务服务器用于调用登录服务器提供的单点登录服务业务，对通过通信网络来访的用户客户端进行登录认证，并向被认证成功登录的用户客户端提供其用户登录ID对应的应用服务业务；

所述用户客户端用于通过通信网络访问应用业务服务器，向应用业务服务器发送至少携带有用户登录ID的业务请求，从应用业务服务器获取对应的应用服务业务；还用于通过通信网络访问登录服务器，向登录服务器发送用户所录入的用户登录ID和登录密码进行用户身份认证，并保存登录服务器返回的安全票据；在保存有安全票据的情况下，用户客户端应用业务服务器发送的业务请求中一并携带有该安全票据。

为实现上述目的，本发明采用可如下的方法技术方案：

一种多业务单点登录方法，采用上述的基于远程服务业务的多业务单点登录系统，完成用户客户端对多个应用业务服务器各自提供的应用服务业务的单点登录处理；该方法具体包括如下步骤：

1）用户客户端通过通信网络访问应用业务服务器的业务请求地址，向应用业务服务器发送业务请求；

2）应用业务服务器判断来自用户客户端的业务请求是否携带有安全票据；若是，则跳转至步骤9；否则，继续执行步骤3； 

3）应用业务服务器通过安全数据通道与登录服务器建立远程数据通信，将业务请求携带的用户登录ID发送至登录服务器，查询该用户登录ID当前的登录状态；

4）登录服务器判断来自应用业务服务器的用户登录ID当前是否存在登录记录；若存在，则从用户数据中心服务器调取该用户登录ID在该应用业务服务器对应的用户数据，发送至该应用业务服务器，跳转执行步骤11；若不存在，则向应用业务服务器返回用户未登录信息，继续执行步骤5；

5）应用业务服务器接收到用户未登录信息后，将用户客户端定向链接至登录服务器的用户登录地址；

6）用户客户端通过通信网络访问登录服务器的用户登录地址，向登录服务器发送用户所录入的用户登录ID和登录密码；

7）登录服务器接收来自用户客户端的用户登录ID和登录密码，从用户数据中心服务器调取同一用户登录ID的身份认证信息进行比对；若该身份认证信息中的登录密码与来自用户客户端的登录密码比对一致，则生成用以表明该用户登录ID登录认证成功的安全票据加以记录，并返回给用户客户端进行保存，然后将用户客户端定向链接重新定向链接回到应用业务服务器的业务请求地址；若对比不一致，则将用户客户端重新定向链接至用户登录地址，返回步骤6；

8）用户客户端通过通信网络再次访问应用业务服务器的业务请求地址，向应用业务服务器发送一并携带有安全票据的业务请求；返回执行步骤2；

9）应用业务服务器将来自用户客户端的业务请求所携带的用户登录ID和安全票据转发至登录服务器进行登录认证；

10）登录服务器查询来自应用业务服务器的安全票据在登录服务器中是否存在相同的安全票据记录；若不存在，则向应用业务服务器返回用户未登录信息，返回执行步骤5；若存在，则判定登录认证成功，从用户数据中心服务器调取来自应用业务服务器的用户登录ID在该应用业务服务器对应的用户数据，发送至该应用业务服务器，跳转执行步骤11； 

11）应用业务服务器接收到用户登录ID在该应用业务服务器对应的用户数据后，释放通过安全数据通道与登录服务器建立的远程数据通信，并响应用户客户端的业务请求，向用户客户端提供该用户登录ID对应的应用服务业务。

相比于现有技术，本发明具有以下有益效果：

1、本发明基于远程服务业务的多业务单点登录系统，采用了远程租用单点登录服务业务的集成化构架方案，各个应用业务服务器是通过租用的方式，需要通过安全数据通道与登录服务器建立远程数据通信，从而远程获得登录服务器提供的单点登录服务业务，由用户数据中心服务器存储支持数据，来完成单点登录处理，使得用户数据中心服务器以及远程提供单点登录服务业务的单点登陆服务器可以由第三方服务供应商来提供，企业可以向第三方服务供应商支付租用费用来获得单点登录服务业务，从而能够帮助企业大大降低一次性费用支付成本，从而避免给企业带来突发的经济压力。

2、本发明的多业务单点登录方法中，应用业务服务器只有在需要调用单点登录服务业务时，才会通过安全数据通道与登录服务器建立远程数据通信，且在完成调用后便会释放通过安全数据通道与登录服务器建立的远程数据通信，结束对登录服务器处理资源的占用，使得多个应用业务服务器能够轮流地分时占用登录服务器的处理资源，避免了因数量较多的应用业务服务器长时间的占用登录服务器的处理资源而导致单点登录服务器资源消耗过高的问题，也大大降低了登录服务器因处理资源耗尽而运行崩溃的风险。

3、本发明基于远程服务业务的多业务单点登录系统及方法，很好地解决了现有的单点登录业务系统构建方案容易给企业带来突发的经济压力、系统运行效率低、存在运行崩溃的风险的问题，具有很好的推广应用价值。

附图说明

图1为本发明基于远程服务业务的多业务单点登录系统的构架示意图。

具体实施方式

针对于现有技术中的单点登录业务系统构建方案容易给企业带来突发的经济压力、系统运行效率低、存在运行崩溃的风险等问题，本发明提供了一种基于远程服务业务的多业务单点登录系统。该多业务单点登录系统的基本构架如图1所示，包括用户数据中心服务器，与所述用户数据中心服务器通信连接的登录服务器，能够分别通过安全数据通道与所述登录服务器建立远程数据通信的多个应用业务服务器，以及能够通过通信网络访问应用业务服务器和登录服务器的用户客户端。其中，用户数据中心服务器用于存储各个用户的身份认证信息以及用户在各个应用业务服务器对应的用户数据；所述身份认证信息至少包括用户登录ID及对应的登录密码。登录服务器用于供各个应用业务服务器租用，通过安全数据通道建立的远程数据通信分别向各应用业务服务器提供远程的单点登录服务业务；还用于调取用户数据中心服务器存储的用户的身份认证信息，为通过通信网络来访的用户客户端提供用户身份认证服务业务，并向用户客户端返回用以表明登录认证成功的安全票据。应用业务服务器用于调用登录服务器提供的单点登录服务业务，对通过通信网络来访的用户客户端进行登录认证，并向被认证成功登录的用户客户端提供其用户登录ID对应的应用服务业务。用户客户端用于通过通信网络访问应用业务服务器，向应用业务服务器发送至少携带有用户登录ID的业务请求，从应用业务服务器获取对应的应用服务业务；还用于通过通信网络访问登录服务器，向登录服务器发送用户所录入的用户登录ID和登录密码进行用户身份认证，并保存登录服务器返回的安全票据；在保存有安全票据的情况下，用户客户端应用业务服务器发送的业务请求中一并携带有该安全票据。

通过本发明多业务单点登录系统的系统构架可以看到，采用了远程租用单点登录服务业务的集成化构架方案，各个应用业务服务器是通过租用的方式，需要通过安全数据通道与登录服务器建立远程数据通信，从而远程获得登录服务器提供的单点登录服务业务，由用户数据中心服务器存储支持数据，来完成单点登录处理。这样以来，用户数据中心服务器以及远程提供单点登录服务业务的单点登陆服务器可以由第三方服务供应商来提供，企业向第三方服务供应商支付租用费用，提供单点登录必要的支持数据存储在用户数据中心服务器，即可获得单点登录服务业务，并且应用业务服务器与登录服务器之间应用了安全数据通道技术，也能够很好地保证单点登录认证的数据安全性。由此，企业便不必一次性支付高额的服务器硬件构建费用和单点登录处理软件购买费用来建设单点登录服务器，相对低廉的租用费用能够帮助企业大大降低一次性费用支付成本，从而避免给企业带来突发的经济压力。

具体而言，采用本发明基于远程服务业务的多业务单点登录系统，完成用户客户端对多个应用业务服务器各自提供的应用服务业务的单点登录处理，具体流程如下：

1）用户客户端通过通信网络访问应用业务服务器的业务请求地址，向应用业务服务器发送业务请求；

2）应用业务服务器判断来自用户客户端的业务请求是否携带有安全票据；若是，则跳转至步骤9；否则，继续执行步骤3； 

3）应用业务服务器通过安全数据通道与登录服务器建立远程数据通信，将业务请求携带的用户登录ID发送至登录服务器，查询该用户登录ID当前的登录状态；

4）登录服务器判断来自应用业务服务器的用户登录ID当前是否存在登录记录；若存在，则从用户数据中心服务器调取该用户登录ID在该应用业务服务器对应的用户数据，发送至该应用业务服务器，跳转执行步骤11；若不存在，则向应用业务服务器返回用户未登录信息，继续执行步骤5；

5）应用业务服务器接收到用户未登录信息后，将用户客户端定向链接至登录服务器的用户登录地址；

6）用户客户端通过通信网络访问登录服务器的用户登录地址，向登录服务器发送用户所录入的用户登录ID和登录密码；

7）登录服务器接收来自用户客户端的用户登录ID和登录密码，从用户数据中心服务器调取同一用户登录ID的身份认证信息进行比对；若该身份认证信息中的登录密码与来自用户客户端的登录密码比对一致，则生成用以表明该用户登录ID登录认证成功的安全票据加以记录，并返回给用户客户端进行保存，然后将用户客户端定向链接重新定向链接回到应用业务服务器的业务请求地址；若对比不一致，则将用户客户端重新定向链接至用户登录地址，返回步骤6；

8）用户客户端通过通信网络再次访问应用业务服务器的业务请求地址，向应用业务服务器发送一并携带有安全票据的业务请求；返回执行步骤2；

9）应用业务服务器将来自用户客户端的业务请求所携带的用户登录ID和安全票据转发至登录服务器进行登录认证；

10）登录服务器查询来自应用业务服务器的安全票据在登录服务器中是否存在相同的安全票据记录；若不存在，则向应用业务服务器返回用户未登录信息，返回执行步骤5；若存在，则判定登录认证成功，从用户数据中心服务器调取来自应用业务服务器的用户登录ID在该应用业务服务器对应的用户数据，发送至该应用业务服务器，跳转执行步骤11； 

11）应用业务服务器接收到用户登录ID在该应用业务服务器对应的用户数据后，释放通过安全数据通道与登录服务器建立的远程数据通信，并响应用户客户端的业务请求，向用户客户端提供该用户登录ID对应的应用服务业务。

通过上述流程可以看到，用户使用用户客户端首次向应用业务服务器请求业务时，由于发送的业务请求并不携带有安全票据，会被引导链接至登录服务器，通过用户登录ID和登录密码进行登录，在登录认证成功后，登录服务器将生成相应的安全票据加以记录，并返回给用户客户端进行保存；此后，当用户使用用户客户端再次向系统中任一个应用业务服务器请求业务时，其业务请求中都会携带有安全票据，应用业务服务器便通过安全票据确认用户已登录，从登录服务器取回该用户登录ID在该应用业务服务器对应的用户数据响应用户客户端的业务请求，向用户客户端提供该用户登录ID对应的应用服务业务。由此，便实现了用户只需要登录一次就可以访问多个应用业务服务器所提供的应用服务业务的功能。不仅如此，在上述流程中可以看到，应用业务服务器只有在需要调用单点登录服务业务（包括进行用户登录状态查询和进行安全票据的登录认证）时，才会通过安全数据通道与登录服务器建立远程数据通信，且在完成调用后便会释放通过安全数据通道与登录服务器建立的远程数据通信，结束对登录服务器处理资源的占用。这样以来，使得多个应用业务服务器能够轮流地分时占用登录服务器的处理资源，避免了因数量较多的应用业务服务器长时间的占用登录服务器的处理资源而导致单点登录服务器资源消耗过高的问题，也大大降低了登录服务器因处理资源耗尽而运行崩溃的风险。

由此可见，本发明基于远程服务业务的多业务单点登录系统及方法，通过远程租用单点登录服务业务的集成化构架方案，实现了多业务单点登录处理功能，能够帮助企业降低一次性费用支付成本，并使得各应用业务服务器对登录服务器处理资源的消耗更少，很好地解决了现有的单点登录业务系统构建方案容易给企业带来突发的经济压力、系统运行效率低、存在运行崩溃的风险的问题，具有很好的推广应用价值。

最后说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的宗旨和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (2)

1.基于远程服务业务的多业务单点登录系统，其特征在于，包括用户数据中心服务器，与所述用户数据中心服务器通信连接的登录服务器，能够分别通过安全数据通道与所述登录服务器建立远程数据通信的多个应用业务服务器，以及能够通过通信网络访问应用业务服务器和登录服务器的用户客户端；

所述用户数据中心服务器用于存储各个用户的身份认证信息以及用户在各个应用业务服务器对应的用户数据；所述身份认证信息至少包括用户登录ID及对应的登录密码；

所述登录服务器用于供各个应用业务服务器租用，通过安全数据通道建立的远程数据通信分别向各应用业务服务器提供远程的单点登录服务业务；还用于调取用户数据中心服务器存储的用户的身份认证信息，为通过通信网络来访的用户客户端提供用户身份认证服务业务，并向用户客户端返回用以表明登录认证成功的安全票据；

所述应用业务服务器用于调用登录服务器提供的单点登录服务业务，对通过通信网络来访的用户客户端进行登录认证，并向被认证成功登录的用户客户端提供其用户登录ID对应的应用服务业务；

所述用户客户端用于通过通信网络访问应用业务服务器，向应用业务服务器发送至少携带有用户登录ID的业务请求，从应用业务服务器获取对应的应用服务业务；还用于通过通信网络访问登录服务器，向登录服务器发送用户所录入的用户登录ID和登录密码进行用户身份认证，并保存登录服务器返回的安全票据；在保存有安全票据的情况下，用户客户端应用业务服务器发送的业务请求中一并携带有该安全票据。

2.一种多业务单点登录方法，其特征在于，采用如权利要求1所述的基于远程服务业务的多业务单点登录系统，完成用户客户端对多个应用业务服务器各自提供的应用服务业务的单点登录处理；该方法具体包括如下步骤：

1）用户客户端通过通信网络访问应用业务服务器的业务请求地址，向应用业务服务器发送业务请求；

2）应用业务服务器判断来自用户客户端的业务请求是否携带有安全票据；若是，则跳转至步骤9；否则，继续执行步骤3； 

3）应用业务服务器通过安全数据通道与登录服务器建立远程数据通信，将业务请求携带的用户登录ID发送至登录服务器，查询该用户登录ID当前的登录状态；

4）登录服务器判断来自应用业务服务器的用户登录ID当前是否存在登录记录；若存在，则从用户数据中心服务器调取该用户登录ID在该应用业务服务器对应的用户数据，发送至该应用业务服务器，跳转执行步骤11；若不存在，则向应用业务服务器返回用户未登录信息，继续执行步骤5；

5）应用业务服务器接收到用户未登录信息后，将用户客户端定向链接至登录服务器的用户登录地址；

6）用户客户端通过通信网络访问登录服务器的用户登录地址，向登录服务器发送用户所录入的用户登录ID和登录密码；

7）登录服务器接收来自用户客户端的用户登录ID和登录密码，从用户数据中心服务器调取同一用户登录ID的身份认证信息进行比对；若该身份认证信息中的登录密码与来自用户客户端的登录密码比对一致，则生成用以表明该用户登录ID登录认证成功的安全票据加以记录，并返回给用户客户端进行保存，然后将用户客户端定向链接重新定向链接回到应用业务服务器的业务请求地址；若对比不一致，则将用户客户端重新定向链接至用户登录地址，返回步骤6；

8）用户客户端通过通信网络再次访问应用业务服务器的业务请求地址，向应用业务服务器发送一并携带有安全票据的业务请求；返回执行步骤2；

9）应用业务服务器将来自用户客户端的业务请求所携带的用户登录ID和安全票据转发至登录服务器进行登录认证；

10）登录服务器查询来自应用业务服务器的安全票据在登录服务器中是否存在相同的安全票据记录；若不存在，则向应用业务服务器返回用户未登录信息，返回执行步骤5；若存在，则判定登录认证成功，从用户数据中心服务器调取来自应用业务服务器的用户登录ID在该应用业务服务器对应的用户数据，发送至该应用业务服务器，跳转执行步骤11； 

11）应用业务服务器接收到用户登录ID在该应用业务服务器对应的用户数据后，释放通过安全数据通道与登录服务器建立的远程数据通信，并响应用户客户端的业务请求，向用户客户端提供该用户登录ID对应的应用服务业务。